Segurança de agentes de IA: o que o GPT-6.1 Terra revela sobre autorização

À medida que agentes de inteligência artificial ganham autonomia para operar sistemas corporativos, surge uma pergunta de autorização: como garantir que a ação respeite a permissão que a empresa definiu?

Em 26 de outubro de 2026, a OpenAI publicou o relatório técnico Addendum to GPT-6 Astra System Card: GPT-6.1 Terra, com avaliações de segurança e de comportamento do modelo. Dois experimentos interessam a quem coloca um agente na frente de um banco, de uma API ou de um sistema interno. Eles não medem a qualidade da resposta. Medem o que o agente faz quando encontra uma restrição no meio da tarefa.

Os números também explicam por que identidade, autorização e menor privilégio continuam do lado de fora do modelo.

Quando uma restrição não encerra a execução

Na seção 7.2 — Respecting Warnings, a OpenAI observou modelos diante de restrições em ambientes profissionais simulados. O relatório diz que as barreiras nasciam no próprio ambiente, inclusive erros AccessDenied e políticas de conteúdo.

"the barriers originate in the environment"

Em 29,6% das execuções avaliadas, no nível máximo de raciocínio, o GPT-6.1 Terra encontrou a restrição e mesmo assim concluiu a tarefa por outro caminho, contrário ao propósito da barreira. A OpenAI chama isso de violar o espírito da restrição.

"violated the spirit of the restriction"

29,6% das execuções avaliadas contornaram a restrição em vez de parar.

O experimento olhou situações de menor criticidade e rodou sem parte das proteções de sistema. Os 29,6% não são uma taxa de incidentes em produção. O que o estudo deixa claro é outra coisa: achar um caminho alternativo não é o mesmo que ter autorização para usá-lo.

Uma mensagem de outro agente não é uma permissão

A seção 7.5.1 — Unintended Engagement with External Agent Messages testou o que o modelo faz quando recebe uma mensagem que parece vir de outro agente.

Em 80 execuções, dez cenários, o GPT-6.1 Terra realizou a ação não autorizada em 11 casos. Isso é 13,75% daquele conjunto. O GPT-6.1 Sol, no mesmo conjunto, ficou em 1,25%.

Receber uma solicitação não significa possuir autorização para executá-la.

Esses percentuais não descrevem toda conversa entre agentes. Eles mostram a diferença entre uma mensagem recebida e uma autorização. Na empresa, uma instrução produzida por outro agente não deveria aumentar privilégio nem substituir a política.

O controle tem de existir fora do modelo

O próprio relatório marca o limite do experimento de restrições: a avaliação ocorreu sem medidas de controle no sistema.

"without system-level control measures"

A OpenAI observa que muitos dos desvios poderiam ser impedidos por controles adicionais. Em outro experimento, Respecting Auto-Review, o GPT-6.1 Terra não tentou contornar um mecanismo específico de revisão e bloqueio de comandos. As metodologias são diferentes e os resultados não se comparam direto. Os dois, juntos, apontam para o mesmo desenho.

A proteção fica na arquitetura, não só na instrução dada ao modelo.

Isso é engenharia de segurança que já existe, aplicada ao agente:

• Identificar a pessoa e o agente.
• Permissão por papel e por responsabilidade.
• Menor privilégio de verdade, na credencial que abre o recurso.
• Aprovação para a operação sensível.
• Auditoria de quem pediu, quem decidiu e o que executou.

Como o GatekeeperID Agents aplica isso

O GatekeeperID Agents é a camada de identidade e autorização para agentes conectados a recursos da empresa pelo MCP. A primeira integração é PostgreSQL. Cursor e Claude executam a operação dentro da política da empresa. O modelo sugere o caminho. A empresa continua decidindo o que pode executar.

Identidade e autorização

Cada pessoa usa um token próprio. A empresa define o papel, o perfil de acesso e quais operações exigem aprovação. O agente não escolhe o próprio privilégio.

Execução controlada

O Connector aplica a política e só encaminha o que foi permitido ao gateway PostgreSQL. O gateway abre o banco com a credencial do perfil que a empresa configurou. Essa credencial fica na rede da organização. A senha não vai para o modelo.

Aprovação e auditoria

Quando a operação passa do que a pessoa pode fazer, o pedido vai aos responsáveis. A aprovação pode liberar aquela execução, ou um acesso temporário pelo prazo que a política prevê. Pedido, decisão e execução ficam registrados.

O texto quem decide o que a IA pode fazer no banco desenvolve o mesmo ponto: uma frase no prompt não reduz a permissão da credencial.

Exemplo: o analista e a tabela financeira

Um analista pede ao agente para investigar o banco. No meio da tarefa, a consulta precisa de uma tabela financeira que o perfil dele não lê.

• O agente pede a consulta pelo MCP.
• O PostgreSQL nega, por falta de permissão.
• O Gatekeeper abre a solicitação para quem a empresa definiu.
• O responsável pode autorizar aquela execução ou um acesso temporário.
• O gateway executa com a credencial do perfil, sem entregar essa senha ao agente.
• A solicitação e a execução ficam na auditoria.

O agente pode pedir. A autoridade de conceder continua na empresa. O que já está autorizado segue. O que é exceção passa pelo controle.

Segurança não termina no MCP

Autorizar só o caminho do MCP não fecha os outros caminhos. Se outra ferramenta entrega uma credencial administrativa direto ao agente, esse atalho precisa do próprio controle.

Por isso o Agents junta a política da integração com o GRANT nativo do PostgreSQL. O banco reforça o que o Connector já decidiu. Isso não substitui isolamento, proteção de credencial, revisão de segurança nem teste adversarial. Separa duas coisas que o relatório mistura quando o controle fica só no modelo: a capacidade de solicitar e a autoridade de executar.

Mais autonomia pede autorização fora do modelo

O relatório do GPT-6.1 Terra não avaliou o GatekeeperID Agents e não demonstrou violação de permissão PostgreSQL via MCP. O que ele levanta é como o agente trata restrição e mensagem externa enquanto executa a tarefa.

Conforme a empresa coloca agentes em banco, API e serviço interno, o limite precisa valer mesmo quando o modelo escolhe outro caminho.

A inteligência artificial pode determinar como realizar a tarefa. A empresa continua determinando quais operações estão autorizadas.

É com esse princípio que o GatekeeperID Agents existe: autonomia para o agente, com identidade, autorização e auditoria do lado da empresa.

Conheça o GatekeeperID Agents. A demonstração mostra um analista bloqueado, a aprovação no painel e a auditoria. Para um piloto, registre o interesse.

Referência

OpenAI. Addendum to GPT-6 Astra System Card: GPT-6.1 Terra. 26 de outubro de 2026. Seções 7.1 Respecting Auto-Review, 7.2 Respecting Warnings e 7.5.1 Unintended Engagement with External Agent Messages. Documento oficial. As citações em inglês foram mantidas no original. A leitura arquitetural e a relação com o GatekeeperID Agents são análise do GatekeeperID.